CN102598577A - 使用云认证进行认证 - Google Patents

Abstract

局域网中的认证机构可使用云认证机构来允许或拒绝认证请求。用户可通过输入云标识和密码来获得局域网内的访问，所述云标识和密码可由云认证机构验证。如果认证从云认证机构成功，则用户标识和密码被本地存储以供后续认证请求。在一些实施例中，云密码可被周期性地清除(flush)以使后续请求可被传递到该云认证机构。该认证机构在域和工作组局域网中均可使用，并且可与可具有局域网或客户端凭证的其他用户并行操作，所述局域网或客户端凭证可不从该云认证。

Description

使用云认证进行认证

背景

许多计算机用户具有各种基于web的服务的在线帐户。这些在线账户可用于电子邮件服务、购买产品、访问文字处理或其他应用、社交联网服务、以及许多其他用途。

基于web的服务——也被称为云服务——可具有各种认证机构。在一些情况下，云服务可具有仅由由用户选择的用户标识和密码构成的非常简单的认证。这种认证机构可以是匿名的。其他云服务可使用信用卡或其他机构来验证用户身份。在这样的服务中，在线标识可被追溯回使用信用卡或其他机构的实际的人。

概述

局域网中的认证机构可使用云认证机构来允许或拒绝认证请求。用户可通过输入云标识和密码来获得局域网内的访问，所述云标识和密码可由云认证机构验证。如果认证从云认证机构成功，则用户标识和密码被本地存储以供后续认证请求。在一些实施例中，云密码可被周期性地清除(flush)以使后续请求可被传递到该云认证机构。该认证机构在域和工作组局域网中均可使用，并且可与可具有局域网或客户端凭证的其他用户并行操作，所述局域网或客户端凭证可不从该云认证。

提供本概述以便以简化形式介绍将在以下详细描述中进一步描述的一些概念。本概述并不旨在标识所要求保护主题的关键特征或必要特征，也不旨在用于限制所要求保护主题的范围。

附图简述

在附图中：

图1是示出可包括云认证的网络环境的实施例的图示。

图2是示出用于具有云认证的客户端操作的方法的实施例的流程图示。

图3是示出可由具有云认证的域服务器执行的方法的实施例的流程图示。

图4是用于强制更新的方法的实施例的流程图示。

详细描述

用户可在局域网环境内使用云凭证来认证工作组或域登入。云凭证可在设备或域级别被本地存储并用于未来认证。可用云认证机构来周期性地刷新云凭证。

云认证机构可允许用户使用可被云认证机构形式的远程第三方验证的凭证来访问其家庭、商业或其他计算机。用户可具有用于各云服务和本地计算机访问的单组登入凭证。

客户端或域设备上的本地认证机构可被配置为在设备或域级别提供认证服务。本地认证机构可具有数据库，用户标识和密码(通常以被散列的或加密的形式)被存储在该数据库中。当用户帐户被配置为用于云认证时，该用户的凭证可被传递到云认证机构，并且如果被该云认证机构正确认证，则该凭证可被存储在本地数据库中。然后后续认证请求可由该本地认证机构来处理。

该用户可连接到该云认证机构并执行密码改变。用户下一次尝试登录到本地系统时，本地认证可使用新用户凭证来触发到该云认证机构的请求，因为该新凭证可能不与本地数据库中的凭证相匹配。

本地认证机构可周期性地刷新本地存储的密码或周期性地将本地存储的密码与该云认证机构同步。在一些实施例中，该本地认证机构可周期性地删除该密码以在下次登入时强制云认证。在其他实施例中，该本地认证机构可周期性地将登入凭证发送到该云认证机构以验证所述凭证仍旧有效。如果发现所述凭证无效，则所述凭证可从本地数据库中移除并可在用户在稍后的时间登入时被刷新。

该本地认证机构可被部署在工作组环境中并可充当用于本地的、设备特定的帐户的认证机构。该本地认证机构还可被部署在域环境中并可用于授予域级访问权。

贯穿本说明书，在对附图的整个描述中，相同的附图标记表示相同的元素。

当元素被称为被“连接”或“耦合”时，这些元素可被直接连接或耦合在一起，或者也可存在一个或多个中间元素。相反，当元素被称为被“直接连接”或“直接耦合”时，不存在中间元素。

本主题可体现为设备、系统、方法、和/或计算机程序产品。因此，本发明的部分或全部能以硬件和/或软件(包括固件、常驻软件、微码、状态机、门阵列等)来具体化。此外，本主题可以采取上面包含有供指令执行系统使用或结合其使用的计算机可使用或计算机可读程序代码的计算机可使用或计算机可读存储介质上的计算机程序产品的形式。在本文献的上下文中，计算机可使用或计算机可读介质可以是可包含、存储、通信、传播、或传输程序以供指令执行系统、装置或设备使用或结合其使用的任何介质。

计算机可使用或计算机可读介质可以是，例如，但不限于，电、磁、光、电磁、红外、或半导体系统、装置、设备或传播介质。作为示例而非限制，计算机可读介质可包括计算机存储介质和通信介质。

计算机存储介质包括以存储诸如计算机可读的指令、数据结构、程序模块或其他数据之类的信息的任何方法或技术实现的易失性和非易失性、可移动和不可移动介质。计算机存储介质包括，但不限于，RAM、ROM、EEPROM、闪存或其他存储器技术、CD-ROM、数字多功能盘(DVD)或其他光盘存储、磁带盒、磁带、磁盘存储或其他磁性存储设备、或可用于存储所需信息且可以由指令执行系统访问的任何其他介质。注意，计算机可使用或计算机可读介质可以是其上打印有程序的纸张或其他合适的介质，因为程序可经由例如对纸张或其他合适的介质的光学扫描来电子地捕获，随后如有必要被编译、解释，或以其他合适的方式处理，并且随后存储在计算机存储器中。

通信介质通常以诸如载波或其他传输机制之类的已调制数据信号来具体化计算机可读指令、数据结构、程序模块或其他数据，并且包括任何信息传送介质。术语“已调制数据信号”可被定义为其一个或多个特性以对信号中的信息编码的方式设置或改变的信号。作为示例而非限制，通信介质包括诸如有线网络或直接线连接之类的有线介质，以及诸如声学、RF、红外及其他无线介质之类的无线介质。上述的任何组合也应包含在计算机可读介质的范围内。

当本主题在计算机可执行指令的一般上下文中具体化时，该实施例可包括由一个或多个系统、计算机、或其他设备执行的程序模块。一般而言，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等。通常，程序模块的功能可在各个实施例中按需进行组合或分布。

图1是示出云认证机构可在其中操作的网络环境的实施例100的图。实施例100是其中基于域或工作组的认证机构可使用基于云的认证机构来允许或拒绝用户登入的凭证的网络环境的简化示例。

图1的图示出了系统的功能组件。在一些情况下，这些组件可以是硬件组件、软件组件、或者硬件和软件的组合。一些组件可以是应用级软件，而其他组件可以是操作系统级组件。在一些情况下，一个组件到另一组件的连接可以是紧密连接，其中两个或更多个组件在单个硬件平台上操作。在其他情况下，连接可通过跨长距离的网络连接来进行。每个实施例都可使用不同的硬件、软件、以及互连架构来实现所描述的功能。

云认证机构可被用来将用户认证到域或工作组。可被用户提交到本地认证机构的凭证可被转发到云认证机构。如果云认证机构允许所述凭证，则所述用户凭证可被本地存储并用于后续认证。

贯穿本说明书，术语“认证机构”可被用来指代可执行认证的任何系统、设备、应用、服务或其他功能。认证是指用于基于用户所出示的凭证来确认该用户的身份的过程。在许多情况下，所述凭证可包括公开部分和私隐部分。在简单的一组凭证中，公开部分可以是用户名而私隐部分可以是密码。

在域或工作组环境中，用户帐户中的一些或全部可被配置以用于云认证。这种配置可在本地系统的管理员允许云认证机构作为受信任的认证机构时使用。该配置可呈现本地系统和云认证机构之间的单向信任。该单向信任可以是：本地系统接受云认证机构来在本地系统上验证用户的凭证，但是云认证机构可不接受本地系统的对任何其他经云认证的服务的认证。

对于基于云的认证，用户可出示凭证，该凭证可被云认证机构分析并被云认证机构允许或拒绝。典型凭证可以是用户标识和密码，但是其他实施例可使用硬件认证，诸如可使用来自智能卡、信用卡、驾驶执照、护照或类似设备的凭证的读卡器。在这样的实施例中，可由受信任方(诸如政府机关、安全组织或其他组织)向用户颁发凭证，而该凭证可包括凭证可存储于其上的计算机可读存储。一些这样的实施例可使用硬件供应的凭证连同其他凭证，诸如用户标识和密码来验证人的身份。

在一些实施例中可使用生物测定凭证作为用户凭证的一部分。可使用指纹读取器、视网膜扫描仪、语音识别或其他生物测定感测来捕捉生物测定凭证。在这样的实施例中，生物测定凭证可在本地设备上捕捉并传送到云认证机构来进行验证。在使用生物测定扫描的实施例中，可在收集、传送、存储或使用这种数据之前接收用户同意。

一些实施例可准许用户的不同组凭证。例如，一实施例可用用户标识、密码和硬件设备(诸如智能卡)来执行认证。相同的实施例可仅用用户标识和来自本地生物测定扫描的输出来执行相同的认证。

不同的实施例可使用不同类型的用户标识。在许多实施例中，用户标识可以是例如登入名称。一些实施例可允许用户创建他们自己的登入标识。这种实施例可在匿名登入被准许或其中用户可以能够输入用户易于记忆的登入名称的情况下使用。其他实施例可使用电子邮件地址作为人的登入标识。电子邮件地址可包括用户名和域名并通常在多个人之间不重复。

云认证机构130可以是本地认证机构可向其配置了至少单向信任的任何认证机构。一典型实施例可以是具有用于访问基于web的服务的凭证的web服务。在许多实施例中，集中式云认证机构130可被用来获得对许多不同的基于web的服务的访问。这样的服务可包括电子邮件服务、社交网络、各种基于web的应用、以及其他服务。

可以使用许多不同类型的云认证机构。在一些云认证机构中，用户可以能够通过提供用户名和密码用云服务创建他们自己的帐户。一些这样的机构可允许用户创建可不具有对真实的人的任何进一步的验证的匿名登入。

在一些云认证机构中，用户可提供可被信用卡公司验证的信用卡号和其他信息。所述信用卡和其他信息(诸如姓名、地址和电话号码)可被传送到信用卡公司，信用卡公司进而可以认证该信息。该云认证机构可允许信用卡公司的认证并可将用户凭证与该信用卡被发给的真实的人相匹配。

一些云认证机构可包括一些对用户凭证的人为验证。例如，公司内的安保部门可向员工发出智能卡，同时配置认证机构以供员工和厂商使用。智能卡可包括用户的照片，连同生物测定或其他信息，诸如特征的唯一序列。一些这样的实施例可使用全局唯一标识符(GUID)或其他序列。GUID可作为用户凭证的一部分被传送并由公司的认证机构来使用。这种认证机构可被用作云认证机构。

许多设备具有本地认证机构和本地用户数据库。该本地认证机构可允许用户使用登入名称登入并使用用户帐户操作该设备。许多设备可允许多个用户在设备上具有帐户。在许多情况下，每个用户帐户可具有不同的访问许可(accesspermission)或可允许每个用户定制该设备的用户接口。即使在只有一个用户访问这些设备时，一些设备也可具有本地认证机构和本地用户数据库。

在域环境中，域服务器102可为附连到局域网106的域客户端104提供认证服务。该域环境可被配置以使用户在登入到不同的域客户端104时可使用相同的凭证。一些这样的实施例可提供多个设备上的公共用户接口、从不同设备对相同文件的访问、以及其他特征以使用户可在设备之间漫游并维持许多公共体验。

域服务器102可以是局域网106内的服务器计算机。域服务器102可具有若干软件组件122，这些软件组件可在由硬件组件124构成的硬件平台上操作。

域服务器的软件组件122可包括域认证机构108，域认证机构108可包括用户数据库110和设备数据库112。域认证机构108可从各客户端设备上的用户接收认证请求并基于用户出示的凭证来允许或拒绝认证。该用户凭证可被存储在用户数据库110中，并且域认证机构108可查询用户数据库110以确定是否存在与用户出示的凭证的匹配。

在一些实施例中，域中的每个设备可被列在设备数据库112中。在一些这样的实施例中，设备可连接到域认证机构108以连接到域服务器102所提供的服务，所述服务可包括域名服务(DNS)、动态主机配置协议(DHCP)、文件共享服务、以及许多其他服务。在用户尝试使用客户端设备登录该域之前或之后，当该设备通电或连接到局域网106时，这些设备可被接合(engage)。

在一些这样的实施例中，用户可仅在使用在设备数据库112中具有条目的设备时执行有效登入。

域服务器102可包括本地认证机构114和本地用户数据库116。本地认证机构114可为域服务器102上的本地用户帐户提供认证服务。本地用户帐户可以是允许用户直接登录到域服务器102并使用域服务器102的用户帐户。例如，许多域服务器可具有本地管理员帐户以使管理员可登入域服务器并执行该服务器的配置。本地管理员帐户可允许对域服务器102的访问并且可以不连接到或依赖于域服务来操作。

类似地，域客户端104可具有本地认证机构118和本地用户数据库120。用户可在本地数据库120中具有可准许该用户访问域客户端104的资源但是不允许访问域服务的帐户。

重复域服务器150可在更大环境中提供类似于域服务器102的域服务。重复域服务器150可具有用户数据库152以及设备数据库154，用户数据库152可以是用户数据库110的副本，设备数据库154可以是设备数据库112的副本。一些实施例可被配置以使域客户端104中的一些被分配给域服务器102，而其他域客户端104被分配到重复域服务器150。一些实施例可采用各种负载平衡或其他布置以使认证工作负载可在域服务器102和重复域服务器150之间共享。

工作组设备156可以是与局域网106连接并且可共享资源(诸如文件)的设备，但是不具有集中式服务器(诸如域服务器102)。在域架构中，服务器可为用户提供认证，而在工作组架构中，认证可仅由本地认证机构158使用本地数据库160来提供。

在许多实施例中，域服务器102可包括用户接口，管理员通过该用户接口可设定并配置用户帐户。用户帐户可用用户名和限定该用户可如何与该域上的服务交互的各种许可或设定来标识用户。例如，第一用户可被给予该域内的管理员特权，并且可以能够执行某些服务的配置和设定任务。第二用户可被给予该域内的受限的用户特权，并且可以能够消费该服务但是不能配置它们。

许多本地认证机构还可具有管理员可通过它来添加、删除和配置用户帐户的用户接口。

在配置用户帐户时，管理员可指示特定用户帐户可被云认证。管理员可以能够为每个所指示的用户标识云认证机构。管理员可以能够通过指示用于与云认证机构130通信的地址或其他参数来设定云认证机构。在一些实施例中，管理员可以能够配置两个或更多个云认证机构。

通过选择用户帐户来进行云认证，管理员可以在本地或域认证机构和云认证机构130之间建立信任。所述信任可指示云认证机构所允许或拒绝的任何认证可在本地或域级别沿用。各认证机构所使用的方法的示例在本说明书稍后呈现的实施例200和300中示出。

云认证机构130可以通过网关126和广域网128从局域网106达到。在许多实施例中，广域网128可包括因特网。

云认证机构130可包括用户数据库132以及用户接口134，用户凭证可被存放在该用户数据库132中。在许多情况下，用户接口134可以是可使用附连于广域网128的设备136以及使用web浏览器138访问的网页的形式。

在一典型实施例中，用户可用云认证机构130建立帐户。在建立帐户时，用户可出示凭证(诸如用户名和密码)。在一些情况下，云认证机构130可要求附加凭证，诸如信用卡、驾驶执照、或其他标识符。

在一些情况下，管理员可用云认证机构130为每个用户配置用户帐户。用户帐户可被配置为本地访问特定设备，诸如为域客户端104或工作组设备156，或为可授予对域范围服务的访问权的域帐户。例如，管理员可在本地或域数据库中创建新帐户并建立凭证，该凭证可包括用户名和密码。该密码可以是用户以后可修改的初始密码。管理员可将域凭证发送到云认证机构130并使用相应用户数据库中的用户名和密码来建立帐户。该用户的帐户可被标记为经云认证的帐户，并且当该用户登入该帐户时，该用户的凭证可由云认证机构130认证。

当用户具有经云认证的帐户时，该用户可通过与云认证机构130直接通信来管理该帐户。例如，该用户可以通过使用web浏览器连接到云认证机构用户接口134来改变他们的密码或其他登入凭证。该用户可首先认证web浏览会话，然后可输入新的凭证。

在一些实施例中，在域客户端104或域服务器102上操作的软件可使用户能够更新他们在该本地设备上的凭证并且使更新后的凭证被传送到云认证机构130以进行更新。

域服务器102可具有硬件平台，该硬件平台具有处理器140、随机存取存储器142、以及非易失性存储器或存储144。硬件组件124还可包括用户接口146和网络连接148。

硬件组件124可以是个人计算机、服务器计算机、膝上型计算机或台式计算机、或任何其他计算设备。在一些实施例中，硬件组件124可以是手持式计算设备，诸如移动电话、个人数字助理、手持式扫描仪、或其他设备。

图2是示出用于操作具有云认证的客户端设备的方法的实施例200的流程图示。实施例200是一种在使用云认证时可由工作组或域客户端设备执行的方法。

其他实施例可使用不同的排序、附加或更少的步骤、以及不同的命名或术语来完成类似功能。在一些实施例中，各个操作或操作集合可与其他操作以同步或异步方式并行地执行。此处所选的步骤是为了以简化的形式示出一些操作原理而选择的。

实施例200是可由域客户端或工作组设备(诸如实施例100的域客户端104或工作组设备156)执行的认证过程的示例。实施例200示出一种用于在设备或域上认证用户的方法。

在框202中，可呈现登入屏幕，并且在框204中，可接收用户标识和密码。

在框202和204中可使用许多不同机构来从用户接收凭证。在个人计算机中，登入屏幕可覆盖显示器并且仅在被适当认证时准许访问。在一些实例中，作为安全措施，用户可能需要按下键盘上的Control、Alt和Delete来到达登入屏幕。

在一些情况下，用户可通过出示其他类型的凭证来登入。例如，用户可在指纹读取设备上滑动(swipe)手指、执行视网膜扫描、将他们的面部呈现在相机前方以进行面部识别、或其他生物测定扫描。在另一示例中，用户可插入电子标识可存储于其上的卡或设备。

在框204中接收凭证之后，在框206中可在本地数据库中查找所述凭证。框206中的本地数据库查找可为所有凭证执行，不管所述凭证是经域认证的凭证还是经云认证的凭证。

经域认证的凭证可以是其中域服务器是认证授权机构的那些凭证。经云认证的凭证可以是其中云认证机构是认证授权机构的那些凭证。在实施例200的示例中，该操作对于任一类型的认证授权机构是相同的。

如果在框208中在数据库中找到了所述凭证，并且在框210中所述凭证匹配，并且在框211中所述凭证是用于本地帐户的，用户在框212中可以用本地特权登录并且在框214中可以用本地特权操作客户端设备。当在框216中用户完成并登出时，该过程返回框202。

如果在框208中数据库中不存在所述凭证，则该用户可能先前从未登入过该本地设备。在实施例200的客户端设备中，所有凭证被本地存储。经域或云认证的凭证的副本可被本地存储以使得在网络连接停止时或如果认证机构离线时认证可进行。这使得用户能够获得对该设备的访问权并至少执行某些操作。

当在框208中所述凭证不存在时，所述凭证可被传送到域或云认证机构。当实施例200的设备是域附连设备时，在框218中可将所述凭证传送到域认证机构。当该设备是工作组设备时，在框208中可将所述凭证传送到该云认证机构。

如果在框208中找到所述凭证但是在框210中不匹配，则所述凭证可被传递到框218。当用户输入已知用户名但是输入不同的密码时，这种情况可能发生。在框208中可找到该用户名但是在框210中可能在用户数据库中找不到该密码。

在一些情况下，用户可能已登入云认证机构或其他域设备并改变了密码或其他凭证。在这种情况下，在框204中被出示的凭证会通过框208的检查但是没有通过框210的检查。在这种情况下，在框218中所述凭证可被传递到权威性认证机构。

如果所述凭证通过了框208和210两者，但是在框211中所述凭证不是用于域帐户的，则所述凭证可被传递到框218。在实施例200中未示出的一些情况下，所述凭证可被接受并被用于域特权。实施例200示出了其中每个域登入均由域授权机构认证的实施例。

在框218中，所述凭证被传送到认证授权机构的下一级。在域授权机构的情况下，所述凭证可被传递到该域认证机构。具有云认证的域服务器的操作可在本说明书中稍后呈现的实施例300中示出。

在工作组设备的情况下，在框218中可将所述凭证传送到该云认证机构。

在框218中传送所述凭证之后，该客户端设备可等待，直到在框220中从该认证授权机构接收到令牌。

如果在框222中该令牌指示该认证被批准，则在框224中所述凭证可被存储在本地用户数据库中。如果在框226中所述凭证是用于本地访问的，则该过程可前进至框212，在框212该用户可登入该设备并以本地特权使用该设备。如果在框226中所述凭证是用于域访问的，则在框228中该用户可以用域特权登入并且在框230中可以用域特权来操作，直到在框232中登出，该过程在这一点可返回至框202。

如果在框222中该令牌指示所述凭证没有被认证，则在框234中可生成错误消息并且该过程可返回至框202。

图3是示出用于操作具有云认证的域服务器的方法的实施例300的流程图示。实施例300是一种可由域服务器(诸如实施例100的域服务器102)执行的方法。

其他实施例可使用不同的排序、附加或更少的步骤、以及不同的命名或术语来完成类似功能。在一些实施例中，各个操作或操作集合可与其他操作以同步或异步方式并行地执行。此处所选的步骤是为了以简化的形式示出一些操作原理而选择的。

实施例300示出可使用云认证机构作为某些用户帐户的认证授权机构的认证方法。其他用户帐户可由该域认证授权机构来认证。

在框302中可从客户端设备接收所述凭证。在框302中接收的凭证可以是实施例200的框218中传送的相同凭证。

在框304中在该用户数据库中查找所述凭证。

如果所述凭证在框306中存在并且在框308中匹配，则在框310中可返回令牌以接受域认证。在这种情形下，可使用域或云认证来认证该用户。当在本实施例中使用云认证时，该云认证机构所接受的凭证的副本可被本地存储并用于后续认证。

可周期性地重置经云认证的帐户的凭证。在本说明书中稍后呈现的实施例400中示出了一示例，该示例可充当致使所述经云认证的凭证被定期重新验证的机构。

如果在框306中不存在所述凭证，并且在框311中所述凭证不是用于经云认证的帐户的，则在框324中可为失败的认证返回令牌。

在一些实施例中，在框306中存在新的一组凭证，并且在框311中所述新的一组凭证可被标识为经云认证的一组凭证。所述凭证可按照其形式而被标识为经云认证的凭证，诸如具有带有来自云认证机构的域名的电子邮件地址。

一些实施例可被配置以使任何经云认证的帐户可被授予对该域的访问权。这样的实施例可在该云认证机构在可位于公司或其他企业的控制之下的广域网内的情况下、或在具有对该云系统的访问权的任何用户可被授予对该域的访问权的情况下使用。

如果所述凭证在框306被找到但是在框308不匹配，则该用户可能输入了已知用户名但是输入了不同的密码。如果在框311中所述凭证还用于云认证帐户，则所述凭证可被发送到该云认证机构。

当凭证被从框311发送到该云认证机构时，在框312可加密所述凭证，在框314可打开安全连接，并且在框316可将所述凭证传送到该云认证机构。

一些实施例可不包括加密和安全信道通信。一些实施例可对所述凭证执行散列并且用经散列的值取代所述凭证的一些或全部的清楚文本版本来传送。

在框318可从该云认证机构接收令牌。该令牌可以是任何消息、指示符、或其他机构来传送该认证请求的批准或不批准。在使用加密的实施例中，该令牌可被加密以进行传送并且由域控制器解密。

如果该令牌指示所述凭证有效，则在框322所述凭证可被存储在该本地数据库中，并且在框310可将指示接受所述凭证的令牌传送给提出请求的客户端设备。

如果该令牌指示所述凭证无效，则在框234可将指示认证失败的令牌传送到该客户端设备。

实施例300的方法使用本地存储的用户数据库来验证凭证。如果所述凭证在该数据库中被找到并且适当匹配，则可批准认证请求，即便所述凭证是用于可能是经云认证的帐户的。为了避免所述凭证变得过时或使用户直接用该云认证机构更新所述凭证，所述凭证可被删除或期满。实施例400中呈现了这种方法的一个示例。

图4是示出用于强制对经云认证的凭证的更新的方法的实施例400的流程图示。实施例400是一种可由本地认证机构执行的方法，该本地认证机构可为工作组或域认证机构。

其他实施例可使用不同的排序、附加或更少的步骤、以及不同的命名或术语来完成类似功能。在一些实施例中，各个操作或操作集合可与其他操作以同步或异步方式并行地执行。此处所选的步骤是为了以简化的形式示出一些操作原理而选择的。

在框402中，可用云凭证来更新该本地或域用户数据库。框402可表示用于本地数据库(诸如工作组设备或域客户端)的框224。框402还可表示用于域服务器的框322的动作。

在框404中可记录更新时间，并且在框406中计时器可进行，直到预定时间已流逝。

一旦该预定时间已流逝，在框408中可强制所述凭证期满。一种强制所述凭证期满的机制可以是擦除密码或所述凭证的其他部分。在一些情况下，所述凭证可与一标志一起存储，所述标志指示所述凭证可在下次登入时被该云认证机构刷新。

当所述凭证期满或被删除时，分别在实施例200和300中的框210或框308中的失败凭证匹配的条件会被触发。该条件可致使所述凭证被传送到该云认证机构并被验证，然后被存储在该本地数据库中。当所述凭证被存储在该本地数据库中时，它们可被用于认证，直到达到框406的预定时间，而所述凭证在后续登入时被再次刷新。

对本发明的上述描述是出于图示和描述的目的而呈现的。它不旨在穷举本主题或将本主题限于所公开的精确形式，并且鉴于上述教导其他修改和变型都是可能的。选择并描述实施例来最好地解释本发明的原理及其实践应用，由此使本领域的其他技术人员能够在各种实施例和各种适于所构想的特定用途的修改中最好地利用本发明。所附权利要求书旨在被解释为包括除受现有技术所限的范围以外的其他替换实施例。

Claims (15)

1.一种域服务器，包括：

处理器；

到多个客户端设备的局域网连接；

到云认证机构的广域网连接；

包括用户标识和密码的数据库；

域认证机构，所述域认证机构被配置成执行包括以下动作的方法：

从第一客户端设备接收第一认证请求，所述认证请求包括第一用户标识和第一密码；

将所述第一用户标识和所述第一密码传送到所述云认证机构；

从所述云认证机构接收第一接受令牌；

基于所述第一接受令牌，将所述第一用户标识和所述第一密码存储在所述数据库中；以及

将第二接受令牌传送到所述第一客户端设备。

2.如权利要求1所述的域服务器，其特征在于，所述方法还包括：

从第二客户端设备接收第二认证请求，所述第二认证请求包括所述第一用户标识和所述第一密码；

在所述数据库中查找所述第一用户标识和所述第一密码并确定在所述数据库中找到所述第一用户标识和所述第一密码；以及

将第三接受令牌传送到所述第二客户端设备而不执行云认证。

3.如权利要求2所述的域服务器，其特征在于，所述第一用户标识被标识为经云认证的用户标识。

4.如权利要求1所述的域服务器，其特征在于，所述方法还包括：

从所述第一客户端设备接收第三认证请求，所述第三认证请求包括所述第一用户标识和第二密码；

检查所述数据库以确定所述第一用户标识和所述第二密码不匹配所述数据库；

将所述第一用户标识和所述第二密码传送到所述云认证机构；

从所述云认证机构接收第三接受令牌；以及

基于所述第三接受令牌，将第四接受令牌传送到所述第一客户端设备并通过移除所述第一密码并存储所述第二密码来更新所述数据库。

5.如权利要求4所述的域服务器，其特征在于，所述方法还包括：

从所述第一客户端设备接收第四认证请求，所述第四认证请求包括所述第一用户标识和所述第二密码；

检查所述数据库以确定所述第一用户标识和所述第二密码不匹配所述数据库；

将所述第一用户标识和所述第二密码传送到所述云认证系统；

从所述云认证机构接收第一失败令牌；以及

基于所述第一失败令牌，将第二失败令牌传送到所述第一客户端设备。

6.如权利要求1所述的域服务器，其特征在于，所述第一用户标识具有云认证标识符。

7.如权利要求6所述的域服务器，其特征在于，所述方法包括：

从第二客户端设备接收第二认证请求，所述第二认证请求包括第二用户标识和第二密码；

确定所述第二用户标识具有本地认证指示符；

检查所述数据库来确定所述第二用户标识和所述第二密码匹配所述数据库，生成失败令牌，并且传送所述失败令牌而不执行云认证。

8.如权利要求1所述的域服务器，其特征在于，到所述云认证机构的所述传送是使用安全连接执行的。

9.如权利要求1所述的域服务器，其特征在于，所述方法还包括：

对所述第一密码执行散列以生成经散列的值并将所述第一密码以所述经散列的值的形式传送到所述云认证机构。

10.如权利要求1所述的域服务器，其特征在于，所述广域网连接包括通过所述局域网连接到网关到所述广域网的连接。

11.如权利要求1所述的域服务器，其特征在于，还包括：

期满机构，所述期满机构被配置成确定自从所述存储所述第一用户标识起何时预定时间量已流逝并致使所述第一密码期满。

12.如权利要求11所述的域服务器，其特征在于，所述致使所述第一密码期满包括从所述数据库擦除所述第一密码。

13.如权利要求1所述的域服务器，其特征在于，所述数据库是位于第二域服务器上的第二数据库的重复，所述第二域服务器被配置成认证用户。

14.一种工作组计算机，包括：

处理器；

到云认证机构的广域网连接；

包括用户标识和密码的数据库；

认证机构，所述认证机构被配置成执行包括以下动作的方法：

接收第一用户的第一认证请求，所述第一认证请求包括第一用户标识和第一密码；

将所述第一用户标识和所述第一密码传送到所述云认证机构；

从所述云认证机构接收第一接受令牌；

基于所述第一接受令牌，将所述第一用户标识和所述第一密码存储在所述数据库中；以及

准许所述第一用户对所述工作组计算机的访问。

15.如权利要求14所述的工作组计算机，其特征在于，所述方法还包括：

接收所述第一用户的第二认证请求，所述第二认证请求包括所述第一用户标识和所述第一密码；

在所述数据库中查找所述第一用户标识和所述第一密码并确定在所述数据库中找到所述第一用户标识和所述第一密码；以及

准许所述第一用户对所述工作组计算机的访问而不执行云认证。

Images